细说REST API安全之认证授权
认证授权包含2个方面:
(1)访问某个资源时必须携带用户身份信息,如:用户登录时返回用户access_token,访问资源时携带该参数。
(2)检查用户是否具备访问当前资源(url或数据)的权限:访问资源时检查用户权限。
在REST架构中,access_token被定义为用户身份标识,用于对资源访问授权,只允许系统合法用户访问资源。具体来说:
- 必须在每次访问时都携带access_token参数,参数位置可以位于HTTP消息头(HTTP Basic Authentication),也可放在请求参数列表中。
- 如果在访问请求中不存在access_token参数,或者验证access_token不合法(不存在或者不正确),拒绝访问,必须强制用户登录。
如何生成安全有效的用户access_token?
acces_token作为用户身份标识,必然与数据库中的用户一一对应,即:<access_token : user_id>。
在网络通信中,一切数据都是透明的,都能被抓包截获,所以必须保证access_token具备如下特性:
1. access_token需要满足分布式环境下的全局唯一性。
2. access_token中不应该包含用户信息,如果将用户id编码到access_token中很容易泄露系统用户信息(通常用户id都是自增长的,很容易曝露系统当前用户规模等信息)。
3. access_token应该是动态变化的,即:用户每次登录时得到的access_token值都与上一次登录不同。这样保证参数没有规律性,避免被用于网络攻击。
4. access_token应该具备一定特征,用于参数合法性验证,如:长度必须满足30个字符。
参照如上需求,可以按照如下方式设计access_token:
(1)用户登录时,动态生成UUID作为该用户的access_token,同时以access_token为key,用户id为value存入redis。
(2)用户访问资源时携带access_token,解析验证请求参数。
(3)如果access_token在redis中不存在,则说明用户还未登录,强制用户登录;转到(1)。
(4)如果access_token不合法(如字符长度不满足),强制用户重新登录;转到(1)。
(5)验证access_token通过,继续其他权限验证或者资源访问。
此外,根据业务场景可以作如下约定以增强access_token安全性:
1. 设置access_token超时时间,即:超过一定时间之后就必须让access_token失效,强制用户重新登录。
2. 使用HTTP Basic Authentication,将access_token放在http消息头中而不是直接放在请求参数里,这样做更加规范。
3. 由于UUID会使用时间戳,所以需要对集群内服务器进行时钟同步。
注意:
JDK提供的默认UUID实现是基于名字空间的UUID(UUID Version 3)和基于伪随机数的UUID(UUID Version 4),很难保证在分布式环境下是全局唯一的。一个可选的开源Java UUID实现组件:
https://github.com/cowtowncoder/java-uuid-generator Java Uuid Generator (JUG),提供基于时间和MAC地址的UUID Version 1实现
当然,如果在实际的业务系统中能保证名称唯一,比如用户手机或者邮箱,那么可以直接使用JDK基于名称空间的UUID V3实现。
之所以选择UUID作为access_token实现,基于如下考虑:
(1)性能:UUID生成在本地完成,高效。
(2)简单有效:只要保证access_token全局唯一即可,且可以动态变化。
实际上,实现认证最优雅的方式应该是使用JWT,这是一个Token标准。
【参考】
https://zh.wikipedia.org/wiki/%E9%80%9A%E7%94%A8%E5%94%AF%E4%B8%80%E8%AF%86%E5%88%AB%E7%A0%81 UUID
https://www.zhihu.com/question/34876910 UUID是如何保证唯一性的?
http://blog.csdn.net/fengshizty/article/details/48754609 App开放接口api安全性—Token签名sign的设计与实现
http://www.cnblogs.com/QLeelulu/archive/2009/11/22/1607898.html 访问需要HTTP Basic Authentication认证的资源的各种语言的实现
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Authorization
https://zxc0328.github.io/2015/11/04/http-basic-auth/ Http Basic Authorization的使用
细说REST API安全之认证授权的更多相关文章
- Yii2 restful api创建,认证授权以及速率控制
Yii2 restful api创建,认证授权以及速率控制 下面是对restful从创建到速率控制的一个详细流程介绍,里面的步骤以及截图尽可能详细,熟悉restful的盆友可能觉得过于繁琐,新手不妨耐 ...
- IdentityServer4[3]:使用客户端认证控制API访问(客户端授权模式)
使用客户端认证控制API访问(客户端授权模式) 场景描述 使用IdentityServer保护API的最基本场景. 我们定义一个API和要访问API的客户端.客户端从IdentityServer请求A ...
- [认证授权] 4.OIDC(OpenId Connect)身份认证授权(核心部分)
0 目录 认证授权系列:http://www.cnblogs.com/linianhui/category/929878.html 1 什么是OIDC? 看一下官方的介绍(http://openid. ...
- [认证授权] 4.OIDC(OpenId Connect)身份认证(核心部分)
1 什么是OIDC? 看一下官方的介绍(http://openid.net/connect/): OpenID Connect 1.0 is a simple identity layer on to ...
- 【Spring Cloud & Alibaba 实战 | 总结篇】Spring Cloud Gateway + Spring Security OAuth2 + JWT 实现微服务统一认证授权和鉴权
一. 前言 hi,大家好~ 好久没更文了,期间主要致力于项目的功能升级和问题修复中,经过一年时间的打磨,[有来]终于迎来v2.0版本,相较于v1.x版本主要完善了OAuth2认证授权.鉴权的逻辑,结合 ...
- 细说ASP.NET Forms身份认证
阅读目录 开始 ASP.NET身份认证基础 ASP.NET身份认证过程 如何实现登录与注销 保护受限制的页面 登录页不能正常显示的问题 认识Forms身份认证 理解Forms身份认证 实现自定义的身份 ...
- Owin中间件搭建OAuth2.0认证授权服务体会
继两篇转载的Owin搭建OAuth 2.0的文章,使用Owin中间件搭建OAuth2.0认证授权服务器和理解OAuth 2.0之后,我想把最近整理的资料做一下总结. 前两篇主要是介绍概念和一个基本的D ...
- 使用Owin中间件搭建OAuth2.0认证授权服务器
前言 这里主要总结下本人最近半个月关于搭建OAuth2.0服务器工作的经验.至于为何需要OAuth2.0.为何是Owin.什么是Owin等问题,不再赘述.我假定读者是使用Asp.Net,并需要搭建OA ...
- 在AngularJS应用中实现认证授权
aaarticlea/png;base64,iVBORw0KGgoAAAANSUhEUgAAAokAAAFwCAIAAABbwHY6AAAgAElEQVR4nOy9+XtcxbX3+/4H9z73jP ...
随机推荐
- Hdoj 1875.畅通工程再续 题解
Problem Description 相信大家都听说一个"百岛湖"的地方吧,百岛湖的居民生活在不同的小岛中,当他们想去其他的小岛时都要通过划小船来实现.现在政府决定大力发展百岛湖 ...
- 【转】linux清屏的几种方法
在windows的DOS操作界面里面,清屏的命令是cls,那么在linux 里面的清屏命令是什么呢?下面笔者分享几种在linux下用过的清屏方法. 1.clear命令.这个命令将会刷新屏幕,本质上只是 ...
- [国家集训队]middle 解题报告
[国家集训队]middle 主席树的想法感觉挺妙的,但是这题数据范围这么小,直接分块草过去不就好了吗 二分是要二分的,把\(<x\)置\(-1\),\(\ge x\)的置\(1\),于是我们需要 ...
- 洛谷P4243/bzoj1558 [JSOI2009]等差数列(线段树维护差分+爆炸恶心的合并)
题面 首先感谢这篇题解,是思路来源 看到等差数列,就会想到差分,又有区间加,很容易想到线段树维护差分.再注意点细节,\(A\)操作完美解决 然后就是爆炸恶心的\(B\)操作,之前看一堆题解的解释都不怎 ...
- bootstrap学习一
bootstrap学习 一.css概览: 1.使用HTML5标准,<!DOCTYPE html>. 2.移动设备优先: <meta name="viewport" ...
- A1135. Is It A Red-Black Tree
There is a kind of balanced binary search tree named red-black tree in the data structure. It has th ...
- 关于MySQL索引的最左前缀匹配原则原理说明说明
假设有2个这样的SQL SELECT * FROM table WHERE a = 1 AND c = 3; // c不走索引 SELECT * FROM table WHERE a = 1 AND ...
- GUI制作仿qq窗口
使用工具:python3.6, pycharm 使用模块: tkinter模块:("Tk 接口")是Python的标准Tk GUI工具包的接口,位Python的内置模块,直接i ...
- python 类的介绍实例
使用面向对象的优点: 1.能够更好的设计软件架构 2.维护软件模块 3.易于架构和组件的重用 类的定义: 构造函数:初始化用,写不写都可以,默认为空 类属性:属于类的对象 方法属性:不属于类的对象 私 ...
- appium 切换native/ webview,findby,还有页面元素定位一直小于0的问题的解决
之前一直有个bug没有解决. 今天,终于解决了. 疑问过程: app是混合应用,项目做了H5优化之后,以前的用例执行总会失败,体现在原来的一个元素点击无反馈 排查原因:1.项目做了H5优化,2.测试的 ...